Linux Intranet. Guillaume Allègre INP-FC octobre Grenoble INP Formation Continue. G.

Transcription

1 Linux Intranet Guillaume Allègre Grenoble INP Formation Continue INP-FC octobre 2009

2 Samba

3 Le projet Samba Samba : interconnexion Unix-Windows (bidirectionnelle) 1. partage de chiers 2. partage d'imprimantes 3. authentication et gestion de domaine NT 4. exploration réseau Historique : 1992 : projet démarré par A. Tridgell, thésard australien au départ : simple client SMB (chiers partagés) pour une machine Unix besoins d'interopérabilité : le projet grossit septembre 2003 : sortie de la v > juillet 2008 : > septembre 2009 : > sous peu : Samba 4 (4.O alpha8 juin 2009)

4 Samba : ressources Disponible sur Des paquets pour toutes les distributions (dont Debian) Documentation Using Samba, 3rd Ed., O'Reilly (2nd Ed. libre) The Ocial Samba-3.2.x HOWTO and Reference Guide En français : nombreux tutoriels, mais pas de doc de référence libre Samba, installation et mise en oeuvre, O'Reilly (2e éd.)

5 Samba : aperçu de l'architecture Un protocole client-serveur Côté serveur Linux : 3 démons 1. nmbd : serveur de nommage NetBIOS 2. smbd : partage de chiers (SMB / CIFS) 3. winbindd : lien vers un serveur de domaine Des clients diversiés Windows : toutes les machines congurées Réseau Microsoft Unix : smbclient, mount.cifs...

6 La pile réseau Samba SMB / CIFS ( NetBIOS ) TCP UDP IP Ethernet MAC NetBIOS : Network Basic Input Output System (IBM...) NBT : NetBIOS over TCP SMB : Server Message Block (IBM...) CIFS : Common Internet File System (successeur de SMB)

7 Protocole NetBIOS 1. Principes initialement un protocole réseau local, non routable multiples avatars : Ethernet, Token Ring, IPX, puis TCP/IP chaque machine a un nom NetBIOS gestion des noms de groupes (workgroup...) 2. Pris en charge par le démon nmbd netbios-ns (udp 137) : name service netbios-dgm (udp 138) : communication non connectée netbios-ssn (tcp 139) : session connectée

8 Noms NetBIOS - 1 Opérations sur les noms NetBIOS 1. réservation / enregistrement de nom 2. résolution de nom Deux modes possible 1. Broadcast 2. serveur WINS (point-to-point) : recommandé Quatre types de noeuds (ordinateurs) 1. b-node : broadcast 2. p-node : point-to-point 3. m-node (mixed) : broadcast par défaut ; serveur en secours 4. h-node (hybrid) : serveur par défaut ; broadcast en secours

9 Noms NetBIOS - 2 Nom : 15 caractères + 1 octet de type 1. noeuds 2. groupes (workgroups Windows) Principaux types - noeud groupe 00 poste standard groupe standard 1D Master Browser - 1E - nom de groupe normal 20 serveur de chiers nom de groupe internet

10 Exploration NetBIOS (browsing) - 1 un LMB : Local Master Browser indiéremment sur workgroup ou domaine présent sur chaque brin du réseau maintient une browse list des machines présentes (pas de centralisation des ressources exportées) élu par les machines présentes, toutes les 15 minutes LBB : Local Backup Browser (nb illimité) un DMB Domain Master Browser pour tout le domaine/groupe élu, comme le LMB Le DMB est nécessairement LMB sur son brin un serveur WINS est souvent LMB et DMB ; sans obligation Samba peut assurer tous ces rôles

11 Exploration NetBIOS Partie visible : sous Windows, machines disponibles sous Favoris réseau achage transparent des ressources partagées (répertoires, imprimantes) La face cachée : toutes les machines Windows se déclarent sur le réseau (nom NetBIOS et adresse IP) une ou plusieurs machines collectent les annonces (LMB, LBB) chaque machine cliente détecte la machine collectrice elle peut résoudre les noms NetBIOS en adresses IP elle peut alors se connecter à la machine serveur Gestion complète par nmbd

12 Protocole SMB / CIFS 1. Applications de SMB partage de ressources : chiers, imprimantes... IPC (Communication inter-processus) par DCE/RPC (MSRPC) 2. Implémentation à l'origine sur NetBIOS : local seulement Win2000 : peut fonctionner directement sur TCP (port 445) microsoft-ds, sans capacité d'exploration 1998 : Microsoft l'étend (liens unix...) et le renomme CIFS 2006 (Windows Vista) : SMB2 (brevets!)

13 Samba : installation Les paquets serveur : samba samba-common Les optionnels : smbclient, smbfs swat winbind Exo Bonus : smbc Samba Commander 1. recenser les ressources installées : binaires, démons, documentation, chiers de conguration...

14 Inventaire... Trois démons nmbd : nommage NetBIOS + WINS + exploration smbd : partages et authentication winbind : interaction avec le contrôleur de domaine swat : Samba Web Administration Tool Commandes net (1) nmblookup (1) smbpasswd (8) testparm (1) smbmount (8) smbclient (1) Fichiers de conguration /etc/samba/smb.conf (5) /etc/samba/lmhosts (noms NetBIOS) (5) /var/cache/samba/*.tdb + /var/lib/samba/*.tdb

15 Conguration de Samba un chier principal : /etc/samba/smb.conf modication par un éditeur classique... ou interfaces spécialisées : Webmin SWAT ( testparm : un validateur de syntaxe

16 /etc/smb.conf 1 couvre toute la conguration de Samba paramétrage des démons smbd et nmbd comportement des commandes d'administration net, smbpasswd... mode d'authentication partages de chiers partages d'imprimante Documenté par man smb.conf (5)

17 /etc/smb.conf 2 - structure des commentaires (délimités par ; et #) des sections introduites par [nom_section] correspondent généralement à un partage [nom_section$] : partage administratif des directives relatives à la section (sauf globale) syntaxe : un attribut = une valeur ex : log level = 1

18 Un exemple miniature [global] workgroup = cuefa18<n> netbios name = <nom> security = share log file = /var/log/samba/log.%m wins support = yes read only = yes [partage] comment = Repertoire partagé (security=share) path = /srv/samba/partage read only = No guest ok = Yes

19 Mise en pratique Client Windows XP Redémarrage d'une machine sur deux sous XP Redénition du groupe de travail Favoris réseau Client Linux smbclient Client Linux mount.cifs

20 Mise en pratique Client Windows XP Redémarrage d'une machine sur deux sous XP Redénition du groupe de travail Favoris réseau Client Linux smbclient smbclient //serveur/partage : mode interactif Client Linux mount.cifs

21 Mise en pratique Client Windows XP Redémarrage d'une machine sur deux sous XP Redénition du groupe de travail Favoris réseau Client Linux smbclient smbclient //serveur/partage : mode interactif smbclient //serveur/partage rien -c 'get fichier.txt' : mode script Client Linux mount.cifs

22 Mise en pratique Client Windows XP Redémarrage d'une machine sur deux sous XP Redénition du groupe de travail Favoris réseau Client Linux smbclient smbclient //serveur/partage : mode interactif smbclient //serveur/partage rien -c 'get fichier.txt' : mode script Client Linux mount.cifs mount -t cifs //serveur/partage /mnt/import/

23 SWAT : Samba Web Administration Tool Implémentation Serveur autonome : TCP, port 901 Lancé par inetd Avantages contrôle la validité des champs indique les valeurs par défaut liens directs vers la documentation Inconvénients sécurité : compte root nécessaire supprime les commentaires réordonne le chier smb.conf

24 /etc/smb.conf 3 - sections spéciales Trois sections spéciales, diérentes des partages standard [global] : conguration globale ; première section [homes] : répertoires perso des utilisateurs ; le nom est remplacé par le nom de l'utilisateur connecté [printers] : section étendue en autant de partages que d'imprimantes

25 Ajout : serveur d'impression Samba/CUPS [global]... # Printing printcap name = cups disable spoolss = yes show add printer wizard = no printing = cups... [printers] comment = Toutes les imprimantes path = /var/spool/samba guest ok = Yes printable = Yes use client driver = Yes browseable = No

26 /etc/smb.conf 4 - sections standard D'autres sections standard usuelles : [proles] : prols utilisateurs (applis Windows) [netlogon] : scripts de connexion utilisateurs [print$] : pilotes d'imprimantes Deux partages automatiques (optionnels dans smb.conf) [IPC$] : pour les appels RPC [ADMIN$] : idem

27 /etc/smb.conf 5 - [global] Les directives globales les plus importantes : workgroup : groupe de travail (ou domaine NT) auquel appartient la machine samba netbios name : nom netbios de la machine security : méthode d'authentication utilisée pour les clients domain logons : gestion de l'authentication sur le domaine (selon security) passdb backend : base de noms à utiliser pour l'authentication (smbpasswd, tdbsam, ldapsam + guest)

28 Authentication : pair-à-pair / domaine Workgroup authentication pair à pair chaque utilisateur a un compte local sur chaque machine où il se connecte Domaine NT : Workgroup + serveur d'authentication (Domain Controler) service SAM : Security Accounts Manager : auth. + permissions un PDC (Primary DC), base en RW plusieurs BDC (secours), base en RO des Domain Member Server : ressources + permissions ; pas d'authentication permissions par ACL / SID (utilisateur, groupe, PC) Domaine Active Directory tous les contrôleurs égaux (bases en RW, synchronisées)

29 Modes de sécurité - directive security SMB/CIFS : deux niveaux de sécurité 1. utilisateur (user) 2. partage (share) : mot de passe sur la ressource Samba : cinq modes de sécurité 1. share 2. user : authentication user/password par Samba lui-même 3. domain : authentication déléguée à un contrôleur de domaine 4. ads : membre d'un domaine Active Directory Server 5. server : alertobsolète

30 Des dossiers personnels 1/2 [global]... SECURITY = USER ; passdb backend = smbpasswd:/etc/samba/smbpasswd passdb backend = tdbsam... [homes] comment = Home sweet home valid users = %S read only = no browseable = no

31 Des dossiers personnels 2/2 Guest : compte invité peut être autorisé pour certaines ressources (guest ok) peut être obligatoire (guest only) toujours renvoyé vers un compte unix (guest account) Compte utilisateur normal l'utilisateur Unix doit exister ; sinon : adduser <nom> smbpasswd -a <nom> base de référence : smbpasswd.tdb ou (ancien) /etc/samba/smbpasswd

32 Dualité des comptes : Linux et Samba Dans le cas de la sécurité utilisateur : Comptes unix obligatoires en local (/etc/passwd...) distants : nis, pam-ldap... Comptes Samba stockés dans un backend Directive [global] passdb backend =... chier smbpasswd chier tdb LDAP...

33 Authentication : 3 mécanismes supportés Mots de passe en clair encrypt password = no déconseillé! seul à autoriser NIS ou /etc/passwd autonome NTLM : échanges dé/réponse (NT) encrypt password = yes NTLMv1 : faible : sans sel, majuscules, limité à 14 caractères NTLMv2 : lacunes corrigées tickets Kerberos (ADS)

34 Le browsing et Samba Des directives spéciques pour les élections LMB/DMB : [global]... domain master = yes no local master = yes no preferred master = yes no os level = pour un Samba serveur WINS : wins support = yes pour un Samba client WINS : wins server = <adresse IP>